Políticas de seguridad global
Una política de seguridad es una política de firewall con estado y controla el flujo de tráfico de una zona a otra definiendo los tipos de tráfico permitidos desde orígenes IP específicos a destinos IP específicos a horas programadas. Para evitar crear varias directivas en todos los contextos posibles, puede crear una directiva global que abarque todas las zonas o una directiva multizona que abarque varias zonas. Mediante una directiva global, puede regular el tráfico con direcciones y aplicaciones, independientemente de sus zonas de seguridad, haciendo referencia a direcciones definidas por el usuario o a la dirección predefinida, y también proporciona acceso a varias zonas de origen y varias zonas de destino en una sola directiva.
Panorama general de la política global
En un firewall de estado de Junos OS, las políticas de seguridad aplican reglas para el tráfico de tránsito, en términos de qué tráfico puede pasar a través del firewall y las acciones que deben llevarse a cabo en el tráfico a medida que pasa a través del firewall. Las políticas de seguridad requieren que el tráfico entre en una zona de seguridad y salga de otra. Esta combinación de zona de origen y zona hacia se denomina context. Cada contexto contiene una lista ordenada de políticas. Cada política se procesa en el orden en que se define dentro de un contexto. El tráfico se clasifica haciendo coincidir la dirección de origen, la dirección de destino y la aplicación que lleva el tráfico en su encabezado de protocolo. Cada política global, como cualquier otra política de seguridad, tiene las siguientes acciones: permitir, denegar, rechazar, registrar, contar.
Puede configurar una política de seguridad desde la interfaz de usuario. Las políticas de seguridad controlan el flujo de tráfico de una zona a otra mediante la definición de los tipos de tráfico permitidos desde fuentes IP específicas a destinos IP específicos a horas programadas. Esto funciona bien en la mayoría de los casos, pero no es lo suficientemente flexible. Por ejemplo, si desea realizar acciones en el tráfico, debe configurar políticas para cada contexto posible. Para evitar crear varias directivas en todos los contextos posibles, puede crear una directiva global que abarque todas las zonas o una directiva multizona que abarque varias zonas.
Mediante una política global, puede regular el tráfico con direcciones y aplicaciones, independientemente de sus zonas de seguridad, haciendo referencia a direcciones definidas por el usuario o a la dirección predefinida "cualquiera". Estas direcciones pueden abarcar varias zonas de seguridad. Por ejemplo, si desea proporcionar acceso a varias zonas o desde ellas, puede crear una política global con la dirección "cualquiera", que abarca todas las direcciones de todas las zonas. La selección de la dirección "cualquiera" coincide con cualquier dirección IP y, cuando se utiliza "cualquiera" como dirección de origen o destino en cualquier configuración de directiva global, coincide con la dirección de origen/destino de cualquier paquete.
Mediante una directiva global, también puede proporcionar acceso a varias zonas de origen y varias zonas de destino en una sola política. Sin embargo, se recomienda que, por motivos de seguridad y para evitar la suplantación de tráfico, cuando cree una directiva multizona utilice criterios de coincidencia idénticos (dirección de origen, dirección de destino, aplicación) y una acción idéntica. En la figura 1, por ejemplo, si crea una directiva multizona que incluye DMZ y zonas de desconfianza, la suplantación de tráfico de 203.0.113.0/24 desde la zona DMZ podría coincidir correctamente con la directiva y llegar al host protegido en la zona Confiar a.
Las políticas globales sin información de zona y de zona no admiten túneles VPN porque los túneles VPN requieren información de zona específica.
Cuando se realiza una búsqueda de directivas, las directivas se comprueban en el orden siguiente: intrazona (de confianza a confianza), interzona (de confianza a no confianza) y, a continuación, global. De manera similar a las políticas regulares, las políticas globales en un contexto se ordenan, de modo que la primera política coincidente se aplica al tráfico.
Si tiene una directiva global, asegúrese de no haber definido una regla general como, por ejemplo, hacer coincidir el origen de cualquiera, hacer coincidir el destino cualquiera o hacer coincidir la aplicación en las políticas intrazona o interzona, ya que las directivas globales no se comprobarán. Si no tiene una política global, se recomienda que incluya una acción de "denegar todo" en sus políticas dentro de la zona o entre zonas. Si tiene una política global, debe incluir una acción de "denegar todo" en la política global.
En los sistemas lógicos, puede definir directivas globales para cada sistema lógico. Las políticas globales en un sistema lógico se encuentran en un contexto distinto al de otras políticas de seguridad y tienen una prioridad menor que las políticas de seguridad normales en una búsqueda de directivas. Por ejemplo, si se realiza una búsqueda de directivas, las políticas de seguridad regulares tienen prioridad sobre las directivas globales. Por lo tanto, en una búsqueda de directivas, primero se buscan las directivas de seguridad normales y, si no hay coincidencias, se realiza una búsqueda de directivas globales.
Ver también
Ejemplo: configuración de una política global sin restricciones de zona
A diferencia de otras políticas de seguridad de Junos OS, las políticas globales no hacen referencia a zonas de origen y destino específicas. Las políticas globales hacen referencia a la dirección predefinida "cualquiera" o direcciones definidas por el usuario que pueden abarcar varias zonas de seguridad. Las políticas globales le brindan la flexibilidad de realizar acciones en el tráfico sin restricciones de zona. Por ejemplo, puede crear una directiva global para que todos los hosts de cada zona puedan acceder al sitio web de la empresa, por ejemplo, www.example.com. El uso de una política global es un atajo conveniente cuando hay muchas zonas de seguridad. El tráfico se clasifica haciendo coincidir su dirección de origen, dirección de destino y la aplicación que el tráfico lleva en su encabezado de protocolo.
En este ejemplo se muestra cómo configurar una directiva global para denegar o permitir tráfico.
Requisitos
Antes de empezar:
Revise las políticas de seguridad del firewall.
Consulte Descripción general de las políticas de seguridad, Descripción general de la política global, Descripción de las reglas de la política de seguridad yDescripción de los elementos de la política de seguridad.
Configure una libreta de direcciones y cree direcciones para usarlas en la directiva.
Consulte Ejemplo: Configuración de libretas de direcciones y conjuntos de direcciones.
Cree una aplicación (o un conjunto de aplicaciones) que indique que la directiva se aplica al tráfico de ese tipo.
Consulte Ejemplo: Configuración de aplicaciones de políticas de seguridad y conjuntos de aplicaciones.
Visión general
En este ejemplo de configuración, se muestra cómo configurar una directiva global que logra lo que varias directivas de seguridad (mediante zonas) habrían logrado. La política global gp1 permite todo el tráfico, mientras que la política gp2 deniega todo el tráfico.
Topología
Configuración
Configuración rápida de CLI
Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía y, a continuación, ingrese commit desde el [edit] modo de configuración.
set security address-book global address server1 dns-name www.example.com set security address-book global address server2 dns-name www.mail.example.com set security policies global policy gp1 match source-address server1 set security policies global policy gp1 match destination-address server2 set security policies global policy gp1 match application any set security policies global policy gp1 then permit set security policies global policy gp2 match source-address server2 set security policies global policy gp2 match destination-address server1 set security policies global policy gp2 match application junos-ftp set security policies global policy gp2 then deny
Procedimiento
Procedimiento paso a paso
En el ejemplo siguiente es necesario navegar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacerlo, consulte Uso del editor de CLI en modo de configuración en la Guía del usuario de CLI.
Para configurar una política global para permitir o denegar todo el tráfico:
Crear direcciones.
[edit security] user@host# set security address-book global address server1 dns-name www.example.com user@host# set security address-book global address server2 dns-name www.mail.example.com
Cree la política global para permitir todo el tráfico.
[edit security] user@host# set policy global policy gp1 match source-address server1 user@host# set policy global policy gp1 match destination-address server2 user@host# set policy global policy gp1 match application any user@host# set policy global policy gp1 then permit
Cree la política global para denegar todo el tráfico.
[edit security] user@host# set policy global policy gp2 match source-address server2 user@host# set policy global policy gp2 match destination-address server1 user@host# set policy global policy gp2 match application junos-ftp user@host# set policy global policy gp2 then deny
Resultados
Desde el modo de configuración, confirme la configuración introduciendo los show security policies comandos y show security policies global . Si el resultado no muestra la configuración deseada, repita las instrucciones de este ejemplo para corregir la configuración.
user@host# show security policies
global {
policy gp1 {
match {
source-address server1;
destination-address server2;
application any;
}
then {
permit;
}
}
policy gp2 {
match {
source-address server2;
destination-address server1;
application junos-ftp;
}
then {
deny;
}
}
}
user@host# show security policies global
policy gp1 {
match {
source-address server1;
destination-address server2;
application any;
}
then {
permit;
}
}
policy gp2 {
match {
source-address server2;
destination-address server1;
application junos-ftp;
}
then {
deny;
}
}
Si ha terminado de configurar el dispositivo, ingrese commit desde el modo de configuración.
Verificación
Comprobación de la configuración de la directiva global
Propósito
Compruebe que las directivas globales gp1 y gp2 estén configuradas según sea necesario.
Acción
Desde el modo operativo, ingrese el show security policies global comando.
user@host> show security policies global
Global policies:
Policy: gp1, State: enabled, Index: 6, Scope Policy: 0, Sequence number: 1
From zones: any
To zones: any
Source addresses: server1
Destination addresses: server2
Applications: any
Action: permit
Policy: gp2, State: enabled, Index: 7, Scope Policy: 0, Sequence number: 2
From zones: any
To zones: any
Source addresses: server2
Destination addresses: server1
Applications: junos-ftp
Action: deny
Significado
El resultado muestra información sobre todas las directivas globales configuradas en el dispositivo.
Ejemplo: configuración de una directiva global con varias zonas
A diferencia de otras políticas de seguridad en Junos OS, las políticas globales le permiten crear políticas multizona. Una directiva global es un atajo cómodo cuando hay muchas zonas de seguridad, ya que permite configurar varias zonas de origen y varias zonas de destino en una directiva global en lugar de tener que crear una directiva independiente para cada par de zona o zona, incluso cuando otros atributos, como la dirección de origen o la dirección de destino, son idénticos.
Requisitos
Antes de empezar:
Revise las políticas de seguridad del firewall.
Consulte Descripción general de las políticas de seguridad, Descripción general de la política global, Descripción de las reglas de la política de seguridad y Descripción de los elementos de la política de seguridad.
Crear zonas de seguridad.
Visión general
En este ejemplo de configuración, se muestra cómo configurar una directiva global que logra lo que varias directivas de seguridad habrían logrado. La política global Pa permite todo el tráfico de las zonas 1 y 2 a las zonas 3 y 4.
Topología
Configuración
Configuración rápida de CLI
Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía y, a continuación, ingrese commit desde el [edit] modo de configuración.
set security policies global policy Pa match source-address any set security policies global policy Pa match destination-address any set security policies global policy Pa match application any set security policies global policy Pa match from-zone zone1 set security policies global policy Pa match from-zone zone2 set security policies global policy Pa match to-zone zone3 set security policies global policy Pa match to-zone zone4 set security policies global policy Pa then permit
Procedimiento
Procedimiento paso a paso
En el ejemplo siguiente es necesario navegar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacerlo, consulte Uso del editor de CLI en modo de configuración.
Para configurar una política global con varias zonas:
Cree una política global para permitir cualquier tráfico de las zonas 1 y 2 a las zonas 3 y 4.
[edit security] set security policies global policy Pa match source-address any set security policies global policy Pa match destination-address any set security policies global policy Pa match application any set security policies global policy Pa match from-zone zone1 set security policies global policy Pa match from-zone zone2 set security policies global policy Pa match to-zone zone3 set security policies global policy Pa match to-zone zone4 set security policies global policy Pa then permit
Resultados
Desde el modo de configuración, confirme la configuración introduciendo el show security policies global comando. Si el resultado no muestra la configuración deseada, repita las instrucciones de este ejemplo para corregir la configuración.
[edit]
user@host# show security policies global
policy Pa {
match {
source-address any;
destination-address any;
application any;
from-zone [ zone1 zone2 ];
to-zone [ zone3 zone4 ];
}
then {
permit;
}
}
Si ha terminado de configurar el dispositivo, ingrese commit desde el modo de configuración.